Analizador de superficie de ataque

Attack Surface Analyzer es una herramienta integral para analizar los cambios realizados en las distintas partes de la superficie de ataque del sistema operativo Windows 6 (incluidos Windows Vista y Windows 7). Con esta herramienta, puede analizar los cambios realizados en el Registro, los permisos de archivos, el servidor Windows IIS, los ensamblados GAC y mucho más. ^{[ 7 ]} Según Microsoft, es la misma herramienta que utilizan los ingenieros del equipo de seguridad de Microsoft para analizar los efectos de la instalación de software en el sistema operativo Windows.

Esto no habría sido posible sin una herramienta integral. Habría sido necesario usar software diferente para cada componente de Windows y luego combinar los efectos de forma lógica manualmente. La herramienta enumera los distintos elementos que detecta durante el análisis del sistema. Estos elementos son:

• archivos
• claves de registro
• información de memoria
• ventanas
• Firewall de Windows
• Ensamblajes GAC
• acciones de red
• Sesiones de inicio de sesión
• puertos
• tuberías con nombre
• tareas de ejecución automática
• Puntos finales RPC
• procesos
• trapos
• ordenadores de sobremesa
• asas
• Servidor de servicios de información de Internet de Microsoft

La lista anterior incluye una recopilación exhaustiva de elementos, tanto posibles como importantes, que pueden modificarse al instalar nuevo software en el sistema. Si bien algunos programas solo modifican algunos elementos de la lista, otros pueden alterar varios elementos diferentes del sistema. Attack Surface Analyzer los integra todos para facilitar el análisis de todas las partes.

Si bien Attack Surface Analyzer puede indicar con certeza los cambios, en algunos casos también podrá señalar que un cambio específico en la configuración está causando una amenaza. Por el momento, la herramienta no enumera las amenazas en todas las categorías (o partes del sistema operativo) que analiza, sino solo en algunas, entre las que destacan los problemas en las configuraciones de los servicios, las ACL del sistema de archivos y los problemas relacionados con los procesos que se ejecutan en el sistema. ^{[ 8 ]}

Obtener la lista de amenazas al sistema es una gran ventaja cuando proviene de un software de Microsoft. Después de todo, nadie conoce Windows mejor que Microsoft. Con la creciente preocupación de Microsoft por la seguridad, es importante que el equipo de TI de una empresa conozca la gravedad de cada amenaza. El Analizador de Superficie de Ataque también muestra la gravedad de las amenazas que detecta. Sin embargo, parece que no informa la gravedad de cada amenaza individualmente, sino que la muestra según su categoría. Por ejemplo, la gravedad de la amenaza causada por "Ejecutables con ACL débiles " (nivel de gravedad 1) es menor que la causada por "Procesos con tokens de suplantación" (nivel de gravedad 2). Sin duda, sería deseable que se mostrara el nivel de gravedad de cada amenaza en lugar de solo la categoría a la que pertenece. Sin embargo, no hay información sobre cuándo estará disponible esta función.

Cada organización cuenta con expertos en diversos ámbitos de la seguridad. Puede darse el caso de que un experto en seguridad de redes desconozca los detalles y la terminología de otro ámbito (por ejemplo, los Servicios de Windows). Sin embargo, ambos aspectos pueden estar relacionados. Si bien no es posible (y en algunos casos no es importante) que los expertos de dos equipos de seguridad conozcan a fondo la terminología que utiliza el otro, podría ser necesario en ciertos casos. El informe generado por el Analizador de Superficie de Ataque incluye una breve descripción (junto con un enlace a la biblioteca de TechNet que describe el término en detalle) de todas las amenazas y cambios en la superficie de ataque. Aunque esta breve descripción suele ser suficiente para los expertos, podría ser necesaria en otros casos. Microsoft ha facilitado la búsqueda del recurso adecuado para el término, en lugar de depender de los motores de búsqueda web .

La superficie de ataque del sistema operativo Windows abarca diversas partes del sistema. Si todos los cambios se presentaran en orden cronológico, sería difícil comprender el informe. Attack Surface Analyzer facilita la navegación al usuario al clasificar las amenazas por categorías y proporcionar una tabla de contenido en una página HTML.

Attack Surface Analyzer puede comparar dos conjuntos de datos de escaneo (generados por sí mismo en dos escaneos diferentes) y generar un informe, que luego se puede visualizar en formato HTML . También es posible ejecutar los escaneos en un sistema y luego generar el informe en otro sistema utilizando la misma herramienta. Esto es útil para los clientes de Windows Vista, ya que no es posible generar informes con la versión actual de Attack Surface Analyzer en Windows Vista. ^{[ 9 ]} En tal caso, Attack Surface Analyzer se puede usar para ejecutar escaneos en el cliente de Windows Vista, transferir los archivos de resultados del escaneo a una computadora con Windows 7 y luego generar y visualizar el informe en la computadora con Windows 7.

Este es el análisis que el usuario ejecutará para generar los datos del sistema inicial. Estos datos se comparan con el análisis del producto. Tras ejecutar el análisis de referencia , se instala el producto cuyo efecto en la superficie de ataque del sistema operativo se va a comprobar. La instalación modifica la configuración del sistema (posiblemente) instalando servicios, cambiando las reglas del firewall, instalando nuevos ensamblados .NET , etc. El análisis de referencia es un análisis lógico que ejecuta el usuario mediante Attack Surface Analyzer y que genera el archivo con la configuración del sistema antes de la instalación de este software.

El análisis del producto indica el estado del sistema tras la instalación del producto. En este contexto, el producto es el software cuyos efectos en el sistema tras la instalación se deben verificar. Para generar un informe, se requieren al menos dos análisis. El análisis del producto captura los cambios realizados en el sistema tras la instalación del software bajo prueba. Los datos generados en este análisis se comparan con los datos del análisis de referencia para detectar cambios en la configuración del sistema en diferentes puntos. Cabe destacar que Attack Surface Analyzer permite capturar más de un estado del sistema y utilizar cualquier combinación de ellos para generar el informe. Sin embargo, el análisis de referencia debe ser el que se realizó antes que el otro. El segundo se denomina automáticamente análisis del producto.